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PROCEDE ET DISPOSITIF ASSOCIB DE GENERATION DE NOMBRES ALEATOIRES 

DANS UN INTERVALLE DONNE 



L 1 invention concerne un procede d 1 obtent ion d 1 un nombre 
aleatoire compris entre A et B a partir d ! un generateur 
produisant des notnbres aleatoires compris entre 0 et W-l, 
avec N la taille des nombres produits par le generateur, 
W-l la valeur maximale prise par les nombres aleatoires 
produits, avec par exemple W = 2 N , et A, B des nombres 
entiers quelconques, inferieurs ou supSrieurs au nombre 
W. 

Une telle situation se produit par exemple dans un 
composant electronique adapte pour realiser des calculs 
cryptographiques et comprenant un generateur de nombres 
aleatoires de N bits, par exemple N = 8. Les nombres 
aleatoires qu f il peut prodiiire sont ainsi compris entre 0 
et W-l =.255, alors qu'il serait souhaitable de disposer 
de nombres aleatoires compris par exemple entre 0 et 100 
ou entre 300 et 10000. A noter qu'il suffit de determiner 
des nombres entre 0 et 9700 puis d 1 a j outer ensuite 3 00 au 
nombre obtenu pour obtenir finalement un nombre entre 3 00 
et 10000. 

Une telle situation se retrouve dans la pratique dans la 
plupart des applications cryptographiques, par exemple la 
signature DSA, la signature ou le chiffrement d ! El Gamal , 
le developpement de contremesures contre diverses 
attaques, etc. 

Plusieurs procedes sont dej& connus pour produire des 
nombres aleatoires R compris entre 0 et K a partir de 
nombres compris entre 0 et W-l. Ces procedes sont en 
general mis en oeuvre par des moyens logiciels utilises 
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pour piloter d'une part un g6n£rateur hardware qui 
produit des nombres al6atoires de taille N et d f autre 
part des moyens de calcul realisant notamment des 
operations de multiplications , d T additions, etc. 



Un premier procede connu comprend les 6tapes suivantes : 

a) determiner le plus petit nombre entier p tel que 
K < WP - 1, 

b) produire p nombres al6atoires So* Si, S p _i et 

p-1 

former la variable S = £ S ± * W 1 

i=0 

c) si S > K, alors retourner a l'etape b) , sinon 
poser R = S 

R est le nombre aleatoire recherche, compris entre 0 et 

P-1 . 

K. L f equation S = £% * W est une representation de la 

i=0 

variable S decompos6e / recomposee dans la base (WP -1 , 
W 1 , W°) . On pourrait 6galement noter S = S p _iS p -2«<SiSo/ 
notation couramment utilisee. 

Un deuxi^me proc£d6 connu comprend les etapes suivantes : 

a) determiner le plus petit nombre entier p tel que 
K < WP - 1, 

b) produire p nombres aleatoires Sor Si, S p -i et 
former la variable T ^^S i *W i etS = T + Sp-!*^* 1 

c) si S > K, poser R = T, sinon poser R = S. 

Un troisi&me proced6 connu comprend les etapes 
suivantes : 

a) determiner le plus petit nombre entier p tel que 
K < WP - 1, 
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b) produire p nombres aleatoires So, Si, S p -i et 

v^ 1 i 

former la variable S = £ Si * W 

i=o 

c) poser R = S mod(K-KL), c'est-a-dire le reste de la 
division entiere de S par K+l f egalement appele 
reduction modulaire de S par K+l . 

Ces trois proc6d6s peuvent §tre resumes par les etapes 
suivantes : 

a) produire p nombres al6atoires So, Si, S p _i , p 
etant le plus petit norabre entier tel que K < WP - 1, 

et former la variable S = £ S ± * W 

i=0 

b) determiner le nombre aleatoire R a partir de la 
variable S. 

Selon le cas, au cours de l f etape b, on obtient R a 
partir de S en repetant l'etape b (l er procede) , en tenant 
compte ou non du nombre aleatoire supplementaire S p -i (2^ & 
proc6de) ou en effectuant une reduction modulaire (3 6me 
proc6de) . 

A noter que, dans les trois procedes, si un nombre 
compris entre A et K4-A est souhaite, il suffit d'ajouter 
A au nombre R obtenu compris entre 0 et K. 

Le premier procede a pour principal inconvenient un temps 
de calcul particuli&rement long et surtout imprevisible : 
l f 6tape de production des p nombres aleatoires peut etre 
r6p6t6e de nombreuses fois sans qu f il soit possible de 
pr^voir au depart le nombre de repetitions de cette 
etape - 

Le 2 &ne et le 3 dme procedes ont pour principal inconvenient 
de produire des nombres aleatoires presentant un biais : 
parmi les nombres R produits dans l'intervalle [0, K] , 
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certaines valeurs sont plus probables que d T autres. Dit 
autrement, les nombres R produits ne sont pas 
parfaitement aleatoires (distribution non uniforme) . Ce 
biais peut avoir des consequences importantes sur la 
securite des systdmes cryptographiques susceptibles de 
mettre en oeuvre ces procedes . La s6curite des systemes 
cryptographiques suppose en effet que les nombres 
aleatoires qu f ils utilisent soient unif orm6ment 
distribues (ou au moins proches d f une distribution 
uniforme) dans I'intervalle [0, K] ou [A, K+A] souhaite. 

Enfin, les trois procedes sont global ement lents parce 
qu'ils mettent en oeuvre des operations sur des grands 
nombres, de taille N (au sens nombre de bits) superieure 
& la taille des circuits utilises pour la mise en oeuvre. 
En effet, le nombre K notamment, est quelconque et peut 
§tre superieur a W et done de taille superieure 3. N. La 
variable S peut 6galement etre de grande taille. Or, la 
mise en oeuvre d f operations sur des grands nombres 
necessite la mise en oeuvre de proced6s complexes et 
coOteux en termes de temps de calcul. 



Un objet essentiel de l f invention est de proposer un 
precede de construction d'un nombre aleatoire R 
particulierement rapide. 

Ainsi, l f invention propose un precede crypt ographique, au 
cours duquel on utilise un gen£rateur de nombres 
aleatoires produisant des nombres al6atoires S± de taille 
N fixee compris entre 0 et W-l, avec par exemple mais non 
ne cess air ement W =* 2 N , pour produire un nombre al6atoire R 
compris entre 0 et une borne K pr6definie. 



WO 2005/043382 



PCT/FR2004/050510 



5 

Les etapes essentielles d T un proc6d<§ selon l 1 invention 
sont les suivantes : 

E31 : on produit une variable aleatoire S± comprise 

entre 0 et W-l, 

E32 : si la variable aleatoire S± est strictement 
inferieure a un coefficient K± de la borne K dans la 
base W, alors le coefficient R± de rang i du norabre 
al6atoire R est egal a la variable aleatoire S± puis, 
pour tout rang j inferieur a i, on produit une 
variable aleatoire Sj entre 0 et W-l et on pose Rj - 
Sj. 

E33 : sinon, si la dite variable aleatoire est 
supdrieure au coefficient K± de rang i de la borne K 
dans la base W, alors on d6termine le dit coefficient 
Ri a partir de la variable aleatoire Si de rang i 
selon une fonction predefinie, puis on determine le 
coefficient R±-i du nombre aleatoire R de rang i-1 
immediatement inferieur en rep6tant les etapes E31 a 
E33. 



Ainsi, dans un proced6 selon l f invention, on recherche un 
k un les coefficients Ri du nombre aleatoire R souhait£, 
en comroengant par le coefficient R p _i le plus 
significatif . Le g^nerateur physique de nombres 
al^atoires utilises produit ainsi des variables 
al^atoires Si une & une, une variable & chaque iteration. 

De plus, le procdde est rapide car l f 6tape E33 est 
executee un nombre restreint de f ois . En effet, dds 
qu'une des variables Si produite par le g6nerateur 
physique est inferieure au coefficient Ki associe de la 
borne K, le proc6d6 ne n&cess it e plus le traitement des 
variables Sj de rang inferieur & i : on calcule ainsi le 
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plus souvent un nombre restreint de coefficients du 
nombre R, les plus signif icatif s . 

Enfin, par rapport aux procedes connus, un procede selon 
l f invention presente l'avantage de travailler sur des 
nombres de au plus N bits, N etant la taille des 
registres et autres circuits de calculs des dispositifs 
utilises pour la mise en oeuvre. Par exemple, si W est 
egal a 2 N , les coefficients K±, resultant de la 
decomposition de K dans la base (WP -1 , ... W 1 , W°) , sont 
n^cessairement inferieurs a W et done de taille au plus N 
bits. De m§me, les variables aleatoires Si produites par 
le generateur physique de nombres aleatoires sont 
6galement de N bits. 



En ajoutant aux Stapes essentielles une etape 
d f initialisation et une etape de recombinaison du nombre 
aleatoire R, on obtient : 

El ; on decompose la borne K dans une base . (W?? 1 ^ 

WP-2 # _ f W 0) (K = P £x ± * ou K - KP-1...K1K 0 ) , i 6tant un 

i=0 

indice de boucle f K± etant un coefficient de la borne K de 
rang i compris entre 0 et W-l et p etant le degre de la 
borne K, 

E2 : on initialise & VRAI une variable bool6enne f , 
E3 : on realise les operation suivantes, dans une 
boucle indic6e par i, i 6tant un nombre entier variant 
entre p-1 et 0: 

E31 : on produit une variable aleatoire S± 
comprise entre 0 et W-l, 

E32 : si la variable aleatoire S± est strictement 
inf^rieure au coefficient K± de rang i, alors on met a 
FAUX la variable boolfeenne f , 
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E33_l : si la variable al6atoire S± est 
strictement sup6rieure au coefficient K± de rang i et 
si la variable bool^enne f est VRAI, alors on 
determine le coefficient R± de rang i a partir de la 
variable aleatoire Si de rang i selon une f onction 
pr6def inie, 

E33_2 : sinon, on pose Ri = Si 

E34 : on decr6mente l'indice de boucle i, 

E4 : on determine le nombre aleatoire R par 

recombinaison des coefficients aleatoires Ri dans la base 
p-l 

W (R = £ Ri * W 1 ou BP- 1 -* 1 * 0 ) . 
i=0 

Concretementr des que la variable bool6enne f est 
positionnfee £ FAUX, elle reste a cette valeur, puisqu'il 
n T est pas previa de la repositionner a la valeur VRAI f 
sauf lors de 1 1 initialisation E2 du proc6de . L'etape E33 
est ex6cut6e uniquement si la variable f est VRAI ; 
ainsi, d£s que la variable f est positionnee a la valeur 
FAUX, l'etape E33_l n'est plus execut6e et le proc6d6 
selon 1! invention se termine rapidement. 



Un deuxieme objectif de l 1 invention est de proposer un 
proc6de de construction de nombres aleatoires dont la 
distribution soit uniforme ou puisse etre rendue aussi 
proche que souhait6e d'une distribution uniforme. Cet 
objectif est atteint en choisissant une f onction adequate 
pour la determination du coefficient Ri cL partir de la 
variable al6atoire Si. 

Selon un premier mode de mise en oeuvre d f un proced6 selon 
l f invention, pour determiner le coefficient Ri de rang i a 
partir de la variable aleatoire Si de rang i (6tape 
E33 1) , on realise les sous-6tapes suivantes : 
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E33_ll: si la variable al6atoire Si est strictement 
sup6rieure au coefficient Ki de la borne K, alors on 
produit une nouvelle variable aleatoire S±, 

E33_12 : on repete l'etape E33_ll jusqu'a ce que la 
variable aleatoire S± soit inferieure au coefficient K± de 
la borne K, puis on egalise le coefficient R± a la 
variable aleatoire Si- 

Dans un tel mode de realisation, tous les coefficients R± 
obtenus sont des nombres directement produits par le 
generateur hardware de nombres aleatoires, ces 
coefficients sont done parfaits et le nombre R qui en 
r6sulte est 6galement parfait. en d'autres termes, la 
distribution obtenue des nombres R est uniforme dans 
l'intervalle [0, K] . 



Selon un deuxieme mode de mise en ceuvre, au cours de 
l'etape E33, on choisit le coefficient R± de rang i. egal a 
une partie de la variable aleatoire Si, partie inferieure 
au coefficient Ki. La dite partie correspondant dans un 
exemple un nombre limite de bits de la variable Sj_. 

Selon un troisieme mode de realisation, au cours de 
l'etape E33, on r6duit la variable aleatoire S± modulo 
Ki+1, le r6sultat de la reduction etant le coefficient R± 
cherche . 

Ces deux derniers modes de realisation sont rapides par 
rapport aux proced^s connus, essentiellement parce qu f on 
travaille sur des petits nombres. Les distributions de 
nombres aleatoires obtenus ne sont cependant pas 
uniformes : le simple fait de tronquer la variable Si ou 
d T effectuer une reduction modulo Ki+1 introduit 



WO 2005/043382 



PCT/FR2004/050510 



9 

necessairement un biais. Toutefois, ce biais est moindre 
par rapport aux proc6d6s de l f art ant6rieur. 

Par ailleurs, il est possible de reduire le biais des 
procedes selon les deuxieme et troisieme modes de 
realisation proposes, comme on va le voir ci-dessous. 

Dans un proc6d6 selon l 1 invention tel que d6crit ci- 
dessus, on construit un nombre al6atoire R inferieur 3. K 
a partir de variables Si de taille N produits par un 
generateur physique parf aitement aleatoire. Le nombre R 
obtenu est biaise, mais le biais est r6duit par rapport a 
un procede connu. 

Pour cela, dans le deuxidme mode ou le troisidme mode de 
realisation, on construit notamment au cours de l f 6tape 
E33_l un coefficient R± < K± a partir de variables S± de 
taille N. Pour reduire le biais introduit sur le 
coefficient R<, on propose de le construire en utilisant 
les memes stapes El a E3 que pour construire le nombre R. 
En quelque sorte, on "imbrique" deux proc6des similaiires. 
Ceci permet de r6duire encore la taille des nombres sur 
lesquels on travaille, et en consequence de r6duire 
encore le biais sur les coefficients de R, et sur le 
nombre R final. 

Concrdtement, pour determiner le coefficient R± de rang i 
k partir de la variable al6atoire S± de rang i (6tape 
E33_l), on execute les stapes El <i E4 en utilisant une 
base (p^ 1 / P°) comme base de calcul, p 6tant un nombre 
entier strictement inf6rieur a W et q etant le degr6 de K ± 
dans la base p. 

L f 6tape E33 est ainsi decomposee en les sous-etapes 
suivantes : 



WO 2005/043382 



PCT/FR2004/050510 



10 

E33__41 : on decompose le coefficient Ki de rang i de la 

q-l 

borne K dans la base (P**" 1 , P°) (K ± = £ ( K ±)j * P D ou 

K± = (Ki)q-i... (Ki) i (Ki) o) / j 6tant un indice de boucle, 
(Ki) j 6tant un nombre compris entre 0 et (3-1 et q 6tant un 
degre du coefficient Ki, 

E33_42 : on initialise a VRAI une deuxi^rae variable 
booleenne g, 

E33_43 : on realise les operation suivantes, dans une 
boucle indic^e par j variant entre q-l et 0 : 

E33_ 431 : on produit une variable aleatoire (Si)j 

comprise entre 0 et 0-1, 

E33_432 : si la variable aleatoire (Si)j est 
strictement inferieure au coefficient (Ki)j, alors on 
met & FAUX la deuxidme variable bool6enne g, 
E33_4331 : si la variable aleatoire (Si)j est 
strictement superieure au coefficient (Ki)j et si la 
deuxieme variable booleenne g est VRAI, alors on 
determine un coefficient (Ri)j cL partir de la variable 
aleatoire (Si)j selon une fonction predefinie, 
E33_4332 : sinon, poser (Ri)j = (Si)j 
E33_434 : on decremente l f indice de boucle j, 

E33__44 : on determine le nombre aleatoire R± par 
recombinaison des coefficients al6atoires (Ri)j dans la 

base 0 (R t = £oR,)y*0' ou R± - (R ± ) q -i... (R ± ) i (R ± ) o) - 

Comme on vient de le voir ci-dessus, en "imbriquant" deux 
procedes, on r6duit le biais des nombres aleatoires R 
produit s par le proc6d6 global , tout en conservant un 
proced6 global rapide. On peut bien sfir imaginer 
d"imbriquer ,f plus de deux procedes, par exemple trois ou 
quatre, en d6composant, dans l f 6tape E33_43 les nombres 
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dans une base y < {*, et en decomposant l f 6tape E33_43 en 
une succession d T stapes similaires aux etapes E33_41 £ 
E33_43. 

De maniere generale, plus on "imbrique" de procedes, plus 
les nombres sur lesquels on travaille sont petits : la 
duree de chaque etape diminue et le biais des nombres 
produits par le procede global diminue 6galement. 

L f invention a egalement pour objet un composant 
electronique adapte pour la mise en oeuvre d'un proced6 
tel que decrit ci-dessus. Un tel composant comprend 
notamment un generateur produisant des nombres aleatoires 
de taille N, et des circuits de calcul pour realiser des 
operations sur des nombres de au plus N bits - 

Selon le mode de realisation du proced6 a mettre en 
oeuvre, les circuits de calcul sont adaptes pour realiser 
des operations de comparaison de deux nombres, de 
troncature de nombre, de reduction modulaire. 

Le g6nerateur de nombres aleatoires et les circuits de 
calcul sont pilot^s de preference par un moyen logiciel 
memorise dans une memoire du composant pr^vue 4 cet 
effet, 

L f invention concerne Egalement une carte k puce 
comprenant un composant Electronique tel que d6crit ci- 
dessus . 
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REVENDICATTONS 

1. Procede cryptographique, au cours duquel on utilise 
un gen6rateur de nombres aleatoires produisant des 
nombres aleatoires Si de taille N fixee compris entre 0 et 
W-l, pour produire un nombre aleatoire R compris entre 0 
et une borne K predefinie, caracterise en ce que : 

E31 : on produit une variable al6atoire S± comprise entre 
0 et W-l, 

E32 : si la variable aleatoire S± est strictement 
inf6rieure a un coefficient Ki de la borne K dans la base 
W, alors le coefficient R± de rang i du nombre aleatoire R 
est 6gal & la variable aleatoire S± puis, pour tout rang j 
inf^rieur & 1, on produit une variable aleatoire Sj entre 
0 et W-l et on pose Rj = S j . 

E33 : sinon, si la dite variable aleatoire est superieure 
au coefficient K± de rang i de la borne K dans la base W f 
alors on determine le dit coefficient Ri a partir de la 
variable al6atoire S± de rang i selon une fonction 
pr6d6finie, puis on determine le coefficient R±-i du 
nombre al6atoire R de rang i-1 immediatement inferieur en 
rep6tant les 6tapes E31 a E33. 

2. Procede selon la revendication 1, au cours duquel on 
realise les 6tapes suivantes : 

El : on decompose la borne K dans une base (WP^ 1 , WP~ 2 , 

P-1 

W°) sous la forme K = £ K ± * W 1 , i 6tant un indice de 

i=0 

boucle f Ki 6tant un coefficient de la borne K de rang i 
compris entre 0 et W-l et p etant le degre de la borne K, 
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E2 : on initialise k VRAI une variable bool^enne f , 

E3 : on realise les operation suivantes, dans une boucle 
indicee par i, i etant un nombre entier variant entre p-1 
et 0: 

E31 : on produit une variable aleatoire S± comprise 
entre 0 et W-l, 

E32 : si la variable aleatoire Si est strictement 
inf6rieure au coefficient K± de rang i, alors on met a 
FAUX la variable bool6enne f f 

E33_l : si la variable aleatoire Si est strictement 
superieure au coefficient Ki de rang i et si la 
variable booleenne f est VRAI, alors on determine le 
coefficient Ri de rang i a partir de la variable 
aleatoire Si de rang i selon une fonction pr6d6finie, 
E33_2 : sinon, on pose Ri = Si 
E34 : on decremente la variable de boucle i, 

E4 : on determine le nombre aleatoire R par recombinaison 

des coefficients aleatoires Ri dans la base W selon la 

P-1 , 
relation : R = £ R ± * W 1 . 

i=0 

3. Procede selon la revendication 2, au cours duquel, 
pour determiner le coefficient Ri de rang i a partir de la 
variable aleatoire Si de rang i (Stapes E33_l et E33_2), 
on realise les sous-6tapes suivantes : 

E33_ll: si la variable aleatoire Si est strictement 
superieure au coefficient Ki de la borne K, alors on 
produit une nouvelle variable aleatoire Si, 

E33_12 : on r6p&te l f 6tape E33_ll jusqu'a ce que la 
variable aleatoire Si soit inf6rieure au coefficient Ki de 
la borne K, puis on 6galise le coefficient Ri k la 
variable aleatoire Si- 
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4. Proced6 selon la revendication 2, au cours duquel, on 
choisit < etapes E33-1 et 33_2) le coefficient R± de rang i 
egal a une partie de la variable aleatoire Si, partie 
inferieure au coefficient Ki, la dite partie correspondant 
par exemple a un nombre limite de bits de la variable Si. 

5. Procede selon la revendication 2, au cours duquel, au 
pour determiner le coefficient Ri de rang i & partir de la 
variable aleatoire S± de rang i (etape E33) , on r6duit la 
variable aleatoire Si modulo Ki+1, le r6sultat de la 
reduction etant le coefficient Ri cherche. 

6. Proced6 selon l f une des revendications 1 a 5, au 
cours duquel, pour determiner le coefficient Ri de rang i 
a partir de la variable aleatoire Si de rang i (etape 
E33), on execute les etapes El a E4 en utilisant une base 
(P q-1 r »•/ P°) comme base de calcul, |3 etant un nombre 
entier strictement inferieur £ W et q etant le degre de K 
dans la base J$. 

7. Proced6 selon la revendication 6, dans lequel l 1 etape 
E33 est d6compos6e en les sous -etapes suivantes : 

E33_41 : on decompose le coefficient Ki de rang i de la 

borne K dans la base (f^" 1 , j3°) sous la forme 

q-l fti 

K i - E ( K i)j * P 9 j etant un indice de boucle, (Ki)j etant 
j=0 

un nombre compris entre 0 et 0-1 et q etant le degre du 
coefficient Ki, 

E33_42 : on initialise 4 VRAI une deuxidme variable 
booieenne g, 

E33__43 : on r6alise les operation suivantes, dans une 
boucle indicee par j variant entre q-l et 0: 



WO 2005/043382 



PC17FR2004/050510 



15 

E33_431 : on produit une variable aleatoire (Si)j 
comprise entre 0 et P - 1, 

E33_432 : si la variable aleatoire (S±)j est 
strictement inferieure au coefficient (Kjjj, alors on 
met a FAUX la deuxieme variable booleenne g, 
E33_4331 : si la variable aleatoire (S±)j est 
strictement superieure au coefficient (Ki)j et si la 
deuxieme variable bool6enne g est VRAI, alors on 
determine un coefficient (R±)j & partir de la variable 
aleatoire (Si) j selon une fonction predefinie, 
E33_4332 : sinon, poser (R±)j = (Sj_)j 
E33_434 : on decremente l'indice de boucle j, 

E33_44 : on determine le nombre aleatoire R± par 
recombinaison des coefficients aleatoires (R±)j dans la 
base 0 selon la relation : R { =lC(R i ) 1 *P j . 

8. Composant 61ectronique coraprenant un generateur de 
nombres aleatoires de taille N, des circuits de calcul 
realisant notamment une comparaison, une troncature et / 
ou une reduction modulaire sur des nombres de au pltrs? N 
bits, et un moyen de pilotage du generateur de nombres 
aleatoires et des circuits de calcul, le dit moyen de 
pilotage 6tant adapts pour la mise en oeuvre d T un proc6d6 
selon l f une des revendications 1 & 7. 

9. Carte a puce comprenant un composant electronique 
selon la revendication pr6c6dente. 
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